Summary

  • 米連邦準備制度理事会の監察官による報告2026-IT-B-018（2026年10月28日公表）によると、ある部門内IT組織の利用者の約97％は、特定のアプリでフィッシング耐性のある多要素認証を免除されていた。この割合は当該組織とアプリに限られる。
  • 理事会は例外を一元管理していなかった。管理者は一部の免除理由をすぐ説明できず、中央IT部門は継続期間や終了時期を把握していない。監察官は共通方針と免除対象の見直しを勧告した。

例外を終わらせる責任者は誰か

FRBは強い多要素認証を運用している。その例外は各部門が異なる手順で管理していた。監査報告書は、ある部門内IT組織で特定のアプリについて約97％の利用者が免除されていたと記す。これは範囲を限定した数値だ。だからこそ、その範囲で「例外」が日常の運用になっていたことを鮮明に示す。

中央IT部門には例外の経過期間や満了日が見えない。管理側も一部の免除理由を即答できなかった。監察官は、ある部門内IT組織の技術的制約によって多要素認証をめぐる是正が進まなかったとも記す。理事会は環境の一部を中央ITへ移す計画を進めていたが、報告時点で移行は完了していない。移行の完了日と、例外を誰が承認していつ終わらせるかを示す台帳は、それぞれ確認が必要だ。

同じ組織は複数の部門を支援し、脆弱性への対応でも独自の手順を維持していた。現地の方針では、情報セキュリティ責任者への報告を組織側の裁量に委ねる一方、全体の方針は義務的な報告を求める。理事会のシステム台帳は必要な32種類の項目のうち10種類を欠き、システム所有者や認可範囲も含まれていた。欠けていたのは項目の種類であって、システム10件と読み替えてはいけない。例外を数えられず、対象システムの責任者も明確にできない中央は、優先順位を決めにくい。

監察官は、統制上の弱点に加え、採点方法とガバナンス項目の重みが年次評価に影響したと説明する。その評価で、情報セキュリティの成熟度は2024年度のレベル４、2025年度のレベル３から、2026年度には５段階中のレベル２となった。有効とされる水準はレベル４だ。以前の年次監査の勧告17件のうち13件は未完了だった。今回の勧告８件に理事会は同意した。OIGは免除対象を評価し、必要に応じて削減または管理するよう求めた。次の争点は例外の実数と期限だ。

Sources